Michael Tsai

A vulnerabilidade permite que invasores acessem informações confidenciais no diretório “/facade”.

A vulnerabilidade permite que invasores executem código arbitrário ao enviar um arquivo .cfm malicioso para o endpoint /fileupload/upload.cfm.

Uma falha de injeção de argumentos permite que invasores remotos leiam e gravem em arquivos arbitrários por meio de uma URL maliciosa quando a opção `verify url` está desativada, podendo levar à execução de código. Isso ocorre porque os recursos de geração e processamento tratam incorretamente o uso do utilitário `convert` do ImageMagick.

**Nome do software vulnerável e versões afetadas: Módulo symbiote/silverstripe-queuedjobs, versões 3 a 4 Descrição: Uma vulnerabilidade de Cross Site Scripting permite que um invasor injete uma carga arbitrária na tarefa de desenvolvimento `CreateQueuedJobTask` por meio de uma URL especialmente criada. Isso é feito explorando a tarefa de desenvolvimento `CreateQueuedJobTask`. Recomendações: Para as versões 3 a 4, considere desativar a tarefa de desenvolvimento `CreateQueuedJobTask` até que um patch esteja disponível para impedir a exploração. Restrinja o acesso à tarefa de desenvolvimento para minimizar o risco de injeção de carga arbitrária.